Sécurité et risques sur le SGBD.

Les bases de données sont des composants incontournables des serveurs web et des applications en ligne qui fournissent du contenu dynamique. Des données secrètes ou critiques peuvent être stockées dans les bases de données : il est donc important de les protéger efficacement.

Les mécanismes permettant la sécurité des base de données :

L’authentification est le processus qui permet de contrôler l’identité de l’utilisateur et qui assure donc une sécurité. Le principe de cette authentification est de, généralement, taper son nom d’utilisateur ainsi qu’un mot de passe. Mais cette authentification peut être implicite et héritée d’une authentification précédente, ou reconnue automatiquement (@IP du user sur le réseau par exemple). Cependant, ce choix peut s’avérer être dangereux.

Quelques principales menaces :

·         Blackdoors (portes dérobées) : Dans un logiciel, une porte dérobée est une fonctionnalité inconnue de l'utilisateur légitime, qui donne un accès secret au logiciel. L'introduction d'une porte dérobée dans un logiciel à l'insu de son utilisateur transforme le logiciel en cheval de Troie.

·         L’injection SQL : type d'exploitation d'une faille de sécurité d'une application interagissant avec une base de données, en injectant une requête SQL non prévue par le système et pouvant compromettre sa sécurité. Par exemple, imaginons que le script PHP exécutant cette requête ne vérifie pas les données entrantes pour garantir sa sécurité, Un hacker pourrait alors fournir les informations suivantes :

Utilisateur : Dupont' --

Mot de passe : n'importe lequel

La requête devient :

        SELECT uid WHERE name = 'Dupont' -- ' AND password =

        '4e383a1918b432a9bb7702f086c56596e';

Les caractères -- marquent le début d'un commentaire en SQL. La requête est donc équivalente à :

                SELECT uid WHERE name = 'Dupont';

L'attaquant peut alors se connecter sous l'utilisateur Dupont avec n'importe quel mot de passe. Il s'agit d'une injection de SQL réussie, car l'attaquant est parvenu à injecter les caractères qu'il voulait pour modifier le comportement de la requête.

Leur sécurité n'est pas toujours maîtrisée. De nos jours,  le vol de numéros de cartes bancaires ou encore de données personnelles sont souvent à la une des journaux, ce qui démontre bien que le SGBD est au centre de ces évènements. Protéger une base de données est une tâche simple, mais qui peut s’avérer complexe si on veut le faire de manière exhaustive et sans impacter la stabilité. Mais cette sécurisation passe avant tout par la prise en compte des particularités et des spécificités de la base par les Directions des Systèmes d’Information de l’entreprise. Plus de 250 failles ont été répertoriées chez Oracle, 130 sur MySQL et 80 sur Microsoft SQL Server. Parmi celles-ci, il n’est pas rare de trouver des failles permettant la prise de contrôle à distance du SGBDR par le réseau. Cependant, Oracle a mis l'accent sur l'amélioration du login et du compte utilisateur pour mieux protéger les données. Les comptes utilisateurs disposent désormais de paramètres d'expiration avancés qui permettent de verrouiller un compte au-delà d'une date déterminée, ou de ne permettre l'accès aux données qu'à des heures précises de la journée.

Contributeurs :

Maryline Rodet 

Marlène Vixaysakd